Al Garante per la protezione dei dati personali è pervenuta notizia di violazioni ai sistemi informatici di alcune strutture ricettive italiane, che avrebbero portato alla sottrazione di migliaia di scansioni di documenti di riconoscimento – passaporti, carte d’identità e altri documenti – forniti dai clienti al momento del check-in.

 

Il Garante ha invitato le strutture interessate, nel caso in cui non abbiano ancora provveduto, a segnalare senza indugio la violazione (cosiddetto data breach), attivando le iniziative necessarie a tutela della riservatezza e informando tempestivamente i clienti coinvolti.

 

Il Regolamento europeo sulla protezione dei dati (GDPR) impone ai titolari del trattamento di analizzare i rischi connessi con la gestione dei dati personali e di adottare misure tecniche e organizzative adeguate per garantirne la sicurezza.

È inoltre previsto l’obbligo di notificare eventuali violazioni al Garante entro 72 ore dalla scoperta, salvo il caso in cui la violazione sia improbabile che comporti rischi per i diritti e le libertà delle persone interessate.

In caso di notifica oltre tale termine, devono essere indicate le ragioni del ritardo.

 

È importante sottolineare che la normativa sulla notifica di polizia degli ospiti (articolo 109 Tulps e decreto 7 gennaio 2013) stabilisce che i gestori delle strutture ricettive sono tenuti a cancellare i dati digitali trasmessi alle Questure e a distruggere eventuali copie cartacee non appena il sistema “portale alloggiati” abbia generato la ricevuta di avvenuta comunicazione, la quale deve essere conservata per cinque anni.

 

La conservazione presso le strutture ricettive dei dati dei clienti utilizzati per la notifica di polizia è ammessa esclusivamente qualora il cliente abbia fornito un consenso informato e con l’adozione delle opportune misure di sicurezza.